Geht bei deinwebseitenchat.de etwas in die USA?
Ja, aber nur das, was der Chat zum Antworten braucht. Unsere Server stehen in Deutschland, dort speichern wir auch die Gespräche. Damit der Chat antworten kann, schicken wir die Frage über die API an ein Sprachmodell von OpenAI, einem US-Unternehmen, und dort liegen auch die Inhalte Ihrer Website und Ihre hochgeladenen Dokumente, in denen der Chat sucht. Vorher filtern wir, IP-Adressen und Cookies der Besucher gehen also nicht mit. Was jemand selbst in seine Frage schreibt, geht allerdings mit.
Kontaktdaten aus dem Formular des Chats gehen nie an OpenAI, die speichern wir nur bei uns und schicken sie Ihnen per Mail. OpenAI nutzt Daten aus der API nicht zum Training. Im Vertrag zur Auftragsverarbeitung ist OpenAI als Unterauftragsverarbeiter benannt, und die Übermittlung in die USA ist über Standardvertragsklauseln abgesichert.
Was ist DSGVO-Konformität für KI-Chatbots?
Die Datenschutz-Grundverordnung (DSGVO) gilt für alle Unternehmen, die personenbezogene Daten von EU-Bürgern verarbeiten – unabhängig vom Standort des Unternehmens. KI-Chatbots verarbeiten automatisch personenbezogene Daten: Nachrichten, IP-Adressen, Session-IDs, oft auch Kontaktdaten.
DSGVO-konform bedeutet, dass ein Chatbot alle relevanten Anforderungen der DSGVO erfüllt. Das ist nicht nur eine Frage des Server-Standorts oder eines Data Processing Agreements – es geht um technische Maßnahmen, Datenfilterung, Transparenz und Rechtsgrundlagen.
Wichtig: Ein Data Processing Agreement (DPA) oder Data Processing Addendum allein macht einen Chatbot nicht DSGVO-konform. Es ist nur ein Teil der Anforderungen. Die technische Umsetzung ist entscheidend.
Die kritischen DSGVO-Punkte für KI-Chatbots
Die DSGVO nennt mehrere Artikel, die für KI-Chatbots besonders relevant sind. Hier sind die primären Punkte, die Sie beachten müssen:
Art. 44-49 DSGVO: Datenübertragung in Drittländer
Was die DSGVO sagt: Die Übertragung personenbezogener Daten in Länder außerhalb der EU ist nur erlaubt, wenn angemessene Garantien bestehen (z.B. Standardvertragsklauseln) oder das Land ein angemessenes Datenschutzniveau hat.
Was fast alle KI-Anbieter machen: Sie nutzen KI-Dienste aus den USA wie OpenAI oder Anthropic, wir auch (OpenAI). Abgesichert wird das über Standardvertragsklauseln. Entscheidend ist, was dabei übertragen wird.
Wann ist ein Bot DSGVO-konform? Wenn klar geregelt ist, was wohin geht: eigene Server in der EU, ein AVV, und vor der Übertragung an einen KI-Dienst eine Filterung, sodass nur die Nachricht selbst übertragen wird und keine IP-Adressen, Cookies oder Session-Daten.
Art. 25 DSGVO: Datenschutz durch Technikgestaltung (Privacy by Design)
Was die DSGVO sagt: Technische Maßnahmen müssen von Anfang an so gestaltet sein, dass nur die notwendigen personenbezogenen Daten verarbeitet werden.
Was die meisten KI-Anbieter machen: Viele Chatbots senden die komplette Nachricht inklusive IP-Adresse, Cookies und Session-Daten direkt an die KI. Es gibt keine Filterung vor der Übertragung.
Wann ist ein Bot wirklich DSGVO-konform? Wenn vor der KI-Übertragung eine Datenfilterung stattfindet: Nur die bereinigte Frage geht weiter, IP-Adressen und Cookies werden entfernt. Was ein Besucher selbst in seine Frage schreibt, geht allerdings mit, deshalb sollte ein Chat nie nach Gesundheits- oder Kontodaten fragen.
Art. 5 DSGVO: Grundsätze der Datenverarbeitung
Was die DSGVO sagt: Daten müssen auf das Notwendige beschränkt werden (Datenminimierung), nur so lange gespeichert werden wie nötig, und transparent verarbeitet werden.
Was die meisten KI-Anbieter machen: Viele Anbieter speichern umfangreiche Logs, erstellen Nutzerprofile, setzen Tracking-Cookies und sammeln mehr Daten als nötig.
Wann ist ein Bot wirklich DSGVO-konform? Wenn nur die notwendigen Daten gespeichert werden (minimales Logging), keine Profilerstellung stattfindet, und die Datenschutzerklärung transparent erklärt, welche Daten wie verarbeitet werden.
Art. 6 DSGVO: Rechtsgrundlage
Was die DSGVO sagt: Jede Datenverarbeitung muss auf einer Rechtsgrundlage basieren (z.B. berechtigtes Interesse, Einwilligung, Vertragserfüllung).
Was die meisten KI-Anbieter machen: Viele Anbieter geben keine klare Rechtsgrundlage an oder verweisen nur auf ein DPA, ohne die eigentliche Rechtsgrundlage für die Datenverarbeitung zu benennen.
Wann ist ein Bot wirklich DSGVO-konform? Wenn die Rechtsgrundlage klar dokumentiert ist (z.B. berechtigtes Interesse für Kundenbetreuung) und in der Datenschutzerklärung kommuniziert wird.
Art. 28 DSGVO: Auftragsverarbeitung
Was die DSGVO sagt: Wenn ein Dritter Daten im Auftrag verarbeitet, muss ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden, der technische und organisatorische Maßnahmen (TOMs) festlegt.
Was die meisten KI-Anbieter machen: Viele bieten zwar ein DPA/AVV an, aber die technischen Maßnahmen (TOMs) sind unklar oder unzureichend. Oft fehlt es an konkreten Angaben zu Datenfilterung, Server-Standort und Löschkonzepten.
Wann ist ein Bot wirklich DSGVO-konform? Wenn ein vollständiger AVV mit detaillierten TOMs vorliegt, der Server-Standort, Datenfilterung, Löschfristen und Sicherheitsmaßnahmen konkret beschreibt.
Warum ist DSGVO-Konformität bei KI-Chatbots so kritisch?
Viele Unternehmen unterschätzen die DSGVO-Anforderungen für KI-Chatbots. Das kann teuer werden:
Bußgelder bis zu 4% des Jahresumsatzes
Bei Verstößen gegen die DSGVO können Bußgelder von bis zu 4% des weltweiten Jahresumsatzes oder 20 Millionen Euro verhängt werden. Die Datenschutzbehörden werden bei KI-Chatbots besonders genau hinschauen, da hier automatisch personenbezogene Daten verarbeitet werden.
Schadensersatzansprüche
Betroffene können bei Verstößen Schadensersatz fordern. Bei einem Datenleck oder unrechtmäßiger Datenverarbeitung können mehrere Personen gleichzeitig Ansprüche geltend machen.
Reputationsschaden
Ein DSGVO-Verstoß kann zu erheblichen Reputationsschäden führen. Kunden verlieren das Vertrauen, wenn bekannt wird, dass ihre Daten nicht DSGVO-konform verarbeitet wurden.
Abmahnungen und Klagen
Wettbewerber oder Verbraucherschützer können bei Verstößen abmahnen oder klagen. Das kann zu teuren Rechtsstreitigkeiten führen.
Warum ein DPA allein nicht ausreicht
Viele Unternehmen denken: "Wir haben ein Data Processing Agreement (DPA) unterschrieben, also ist alles DSGVO-konform." Das ist ein gefährlicher Irrtum.
Ein DPA ist nur die Vertragsgrundlage
Ein DPA regelt die vertragliche Beziehung zwischen Ihnen und dem Anbieter. Es sagt aber nichts darüber aus, ob die technische Umsetzung tatsächlich DSGVO-konform ist. Eine fehlende Datenfilterung macht auch der beste Vertrag nicht wett.
Die technische Umsetzung ist entscheidend
Die DSGVO verlangt technische Maßnahmen (Privacy by Design). Ein DPA allein erfüllt diese Anforderung nicht. Sie müssen prüfen: Wo stehen die Server? Werden Daten gefiltert? Werden Cookies gesetzt? Das steht nicht im DPA, sondern muss technisch umgesetzt sein.
Standardvertragsklauseln reichen oft nicht
Viele Anbieter verweisen auf Standardvertragsklauseln (SCCs) für Datenübertragungen in die USA. Nach dem Schrems-II-Urteil des EuGH sind diese jedoch oft unzureichend, wenn keine zusätzlichen technischen Maßnahmen getroffen werden. Die Datenschutzbehörden prüfen das genau.
Fazit: Ein DPA ist notwendig, aber nicht hinreichend. Sie müssen auch die technische Umsetzung prüfen: Server-Standort, Datenfilterung, Cookie-Verwendung, Löschkonzepte. Nur wenn beides stimmt, ist ein Chatbot wirklich DSGVO-konform.
Was die meisten KI-Chatbot-Anbieter falsch machen
Die meisten KI-Chatbot-Anbieter erfüllen die DSGVO-Anforderungen nicht vollständig. Hier sind die häufigsten Probleme:
Die ganze Plattform in den USA
Viele Anbieter betreiben die ganze Plattform in den USA, mit allen Gesprächen und Kontaktdaten dort. Und oft geht an die KI viel mehr als die eigentliche Frage.
Keine Datenfilterung vor KI-Übertragung
Die meisten Anbieter senden die komplette Nachricht inklusive IP-Adresse, Cookies und Session-Daten direkt an die KI. Es gibt keine Filterung, die personenbezogene Daten entfernt.
Third-Party-Cookies ohne Einwilligung
Viele Chatbots setzen Tracking-Cookies von Drittanbietern (z.B. Google Analytics), ohne dass Nutzer explizit eingewilligt haben. Das verstößt gegen Art. 5 und 7 DSGVO.
Unklare oder fehlende TOMs
Viele AVVs enthalten nur allgemeine Formulierungen zu technischen Maßnahmen. Konkrete Angaben zu Server-Standort, Datenfilterung, Verschlüsselung oder Löschfristen fehlen.
Umfangreiche Datenspeicherung ohne Notwendigkeit
Viele Anbieter speichern mehr Daten als nötig: vollständige Konversationsverläufe, IP-Adressen, Nutzerprofile. Das verstößt gegen das Prinzip der Datenminimierung (Art. 5 DSGVO).
Wann ist ein Chatbot wirklich DSGVO-konform?
Ein Chatbot ist nur dann wirklich DSGVO-konform, wenn alle folgenden Punkte erfüllt sind:
- Server-Standort und KI-Dienst: Die eigenen Server stehen in der EU (idealerweise Deutschland). Geht etwas an einen KI-Dienst außerhalb der EU, wird das offen gesagt, vertraglich abgesichert und auf das Nötigste beschränkt.
- Datenfilterung vor KI: Vor der Übertragung an KI-Services müssen personenbezogene Daten (IP-Adressen, Cookies, Session-IDs) gefiltert werden. Nur die bereinigte Frage geht an die KI.
- Keine Third-Party-Cookies: Es werden keine Tracking-Cookies von Drittanbietern gesetzt. Session-IDs werden nur lokal im Browser gespeichert (localStorage).
- Minimale Datenspeicherung: Es werden nur die Daten gespeichert, die für den Betrieb notwendig sind. Keine Profilerstellung, keine umfangreichen Logs.
- Transparente Datenschutzerklärung: Nutzer werden klar über die Datenverarbeitung informiert: Welche Daten werden verarbeitet? Wie lange werden sie gespeichert? Wer ist Ansprechpartner?
- Klare Rechtsgrundlage: Die Rechtsgrundlage für die Datenverarbeitung ist dokumentiert (z.B. berechtigtes Interesse für Kundenbetreuung) und wird kommuniziert.
- Vollständiger AVV mit TOMs: Es gibt einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit detaillierten technischen und organisatorischen Maßnahmen (TOMs).
Unser Ansatz: Wir erfüllen alle diese Punkte. Server in Deutschland, Datenfilterung vor der KI von OpenAI (an OpenAI geht nur die Nachricht), keine Third-Party-Cookies, minimale Datenspeicherung, transparente Datenschutzerklärung, klare Rechtsgrundlage, vollständiger AVV mit detaillierten TOMs.
So stellen wir DSGVO-Konformität sicher
Unser Chatbot erfüllt alle DSGVO-Anforderungen. Hier ist, wie wir das technisch umsetzen:
Server in Deutschland, KI von OpenAI
Unsere Server stehen in Deutschland, dort laufen der Chat und Ihr Dashboard. Die Antworten formuliert ein Sprachmodell von OpenAI, das wir über die API ansprechen. Dafür liegen auch die Inhalte, aus denen der Chat antwortet, bei OpenAI, abgesichert über Standardvertragsklauseln. Was genau übertragen wird, steht in unserer Datenschutzerklärung.
Datenfilterung vor KI-Übertragung
Unser Server filtert Daten vor der KI-Übertragung: IP-Adressen werden entfernt, Cookies werden nicht weitergegeben, Session-IDs bleiben lokal. Nur die bereinigte Frage geht an die KI. Was Besucher selbst in ihre Nachricht schreiben, geht natürlich mit. Kontaktdaten aus dem Formular des Chats gehen dagegen gar nicht an die KI, die speichern wir nur bei uns und schicken sie Ihnen per Mail.
Keine Third-Party-Cookies
Wir setzen keine Tracking-Cookies von Drittanbietern. Die Session-ID wird nur lokal im Browser gespeichert (localStorage). Kein verstecktes Tracking.
Minimale Datenspeicherung
Wir speichern nur das Nötigste: Session-ID lokal im Browser, minimale technische Logs für den Betrieb. Keine Profilerstellung, keine umfangreiche Datensammlung.
Vollständiger AVV mit detaillierten TOMs
Sie erhalten einen vollständigen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit detaillierten technischen und organisatorischen Maßnahmen (TOMs). Server-Standort, Datenfilterung, Verschlüsselung, Löschfristen – alles ist konkret dokumentiert.